IT-Sicherheit? Nicht ohne die Mitarbeiter!

Die höchstmögliche Sicherheit für eine EDV-Umgebung zu gewährleisten ist kein leichtes Unterfangen. Gute Technik ist teuer und die Auswahl schwierig. Letztlich zählt aber nur ein Gesamtkonzept. Neben der Technik wird aber meist der wichtigste Teil vergessen: der Anwender.

Viel Technik, hohe Kosten

IT-Sicherheit im Business-Umfeld ist ein weites Gebiet. Nicht wenige mittelständische Firmen begnügen sich mit der Implementierung einer Firewall und den notwendigsten AntiVirus-Diensten. Dabei wird oft übersehen, dass nur ein umfassender Blick auf mögliche Schwachstellen im Datenverkehr einen effizienten Ansatz bietet. Das schwächste Glied bietet das meistgenutzte Einfallstor in das Unternehmensnetzwerk.
Die Auswahl der individuell passenden Technologie stellt die nächste Herausforderung dar. An dieser Stelle wird oft nicht nur falsch, sondern auch überteuert eingekauft. Zuletzt sind auch die Kosten für Support und Wartung im Investitionsplan zu berücksichtigen.

Analyse und Beratung

Wie fast immer bei IT-Herausforderungen lohnt sich auch auf diesem Gebiet das Vorschalten einer Analyse der vorhandenen IT-Landschaft und deren Nutzung. Consulting ist angesagt. Vor allem den Remote-Zugängen kommt dabei höchste Priorität zu. Die Explosion der mobilen Gerätenutzung bringt so manche Schwachstelle ans Licht.

Mehr als Technik

Ein geschütztes Netzwerk benötigt aber mehr als nur gute Hard- und Software sowie eine professionelle Konfiguration. Dem Nutzungsverhalten der Anwender kommt eine ganz entscheidende Rolle zu. Nicht selten wird an dieser Stelle die gesamte Sicherheitsstrategie ausgehebelt.

Die weichen Faktoren

Wie in vielen Bereichen wird auch meist in Sachen IT-Security der Mitarbeiter des Unternehmens zu wenig eingebunden. Kommunikation ist gefragt sowie eine reaktionsschnelle Anlaufstelle für Rückfragen. Die Einführung neuer Geräte und veränderter Technologien bedarf einer anfänglichen Begleitung durch die interne IT-Abteilung oder des externen IT-Betreuers. Nur so kann auch vom Anwender eine sichere Nutzung eingefordert werden.

Ein weites Feld

Die weitläufige Praxis, die Schulung von Mitarbeitern durch eine „Zuruf“-Lösung oder die Präsenz eines Power-Users zu ersetzen, kann sich auf dem Gebiet der IT-Sicherheit fürchterlich rächen. Einmal zur Angewohnheit gewordene Verhaltensweisen sind nur schwer wieder zu korrigieren. Und wenn dann noch der Vorgesetzte die lasche Praxis vorlebt…

Ein Leitfaden muss her

Ohne schriftliche oder visuelle Anleitung (eine Empfehlung für Kurz-Videos) kann von keinem Mitarbeiter verlangt werden, dass er einer Sicherheitsstrategie folgt. Zu umfangreich und vielfältig sind die einzelnen Szenarien im Firmenalltag.
Einige Anregungen für den bestehenden oder zukünftigen Mitarbeiterleitfaden:

• Nutzung von SmartPhones und Tablets mit gespeicherten Firmendokumenten
• Handhabung externer Zugänge (VPN, Citrix, RDS, VDI, etc.)
• Umgang mit E-Mail-Phishing und Anhängen an elektronische Nachrichten
• Nutzung externer Datenträger (Weitergabe und Erhalt)
• Verschlüsselung von kritischen Informationen und Notebook-Festplatten
• Umgang und Handhabung von Kennwörtern (Cloud und intern)
• Nutzung von öffentlichen Terminals und WLAN-Hotspots
• Verhalten bei Verlust von Geräten
• Einsatz von Dropbox und Co. im Unternehmen
• Verwendung von Firmendaten auf privaten Geräten (BYOD)
• Zugriff von Gästen und Besuchern auf interne Ressourcen (Netzwerk)

Die Liste lässt sich – individuell an die eigene IT-Umgebung – mit vielen Szenarien erweitern.

Sicherheit als Prozess begreifen

Die schriftliche Ablage der Hilfestellung hat viele Vorteile. Dokumente werden zentral abgelegt und können einfach gefunden werden. Die ständige Wiederholung der Einweisungen entfällt (Stichwort neuer Kollege) und kann an dieser Stelle auch effizient überarbeitet werden. Das Feedback der Nutzer ist hier unersetzlich. Das Portal des Intranets (Wiki) ist dafür der ideale Platz. Letztlich werden auf diese Weise sogar Kosten gespart.

Technik und Schulung parallel pflegen

Die technische Entwicklung bringt stets neue Geräte und Anwendungen. Auf diesem Gebiet am Ball zu bleiben ist das Gebot jeglicher Sicherheitsanforderung in der Unternehmens-IT. Auf dieselbe Weise muss aber auch der Schulungsaufwand aller Mitarbeiter einer Firma als Prozess verstanden werden. Nur dann ist jene „höchstmögliche“ Sicherheit erst möglich. Ist diesem Umstand erst einmal durch den Aufbau einer leicht handzuhabenden Anleitungsablage Rechnung getragen, ist eine steigende Zufriedenheit der Anwender wie auch eine kostengünstige IT-Strategie fast schon ein Selbstläufer.